Mỗi quán nên có một sổ tài khoản liệt kê mọi tài khoản số đang dùng, mọi tài khoản đăng ký bằng email và số điện thoại do quán sở hữu (không phải của nhân viên), tài khoản quan trọng bật xác thực hai lớp, và một danh sách việc phải làm ngay khi có người nghỉ việc. Mất quyền vào một tài khoản như phần mềm bán hàng, gian hàng giao đồ ăn hay trang mạng xã hội của quán thường không phải do bị tấn công tinh vi, mà vì người giữ mật khẩu đã nghỉ, số điện thoại nhận mã đã đổi chủ, hoặc mật khẩu được dùng chung khắp nơi.
Bài này dành cho chủ quán muốn dọn lại chuyện tài khoản một lần cho gọn: liệt kê, chọn danh tính gốc, đặt mật khẩu, chọn kiểu xác thực hai lớp, phân người giữ, và quy trình khi nhân viên nghỉ. Phân quyền chi tiết bên trong phần mềm bán hàng và bảo vệ riêng tài khoản gian hàng giao đồ ăn có bài riêng; ở đây là bức tranh chung cho mọi tài khoản của quán.
Một quán ăn nhỏ có bao nhiêu tài khoản số
Khi ngồi liệt kê, nhiều chủ quán ngạc nhiên vì con số. Một quán giả định khoảng mười bàn, có bán qua ứng dụng, thường có:
- Tài khoản quản trị phần mềm bán hàng, cộng tài khoản hoặc mã PIN của từng nhân viên.
- Tài khoản nhà cung cấp hoá đơn điện tử, chữ ký số nếu có.
- Tài khoản ngân hàng của quán trên ứng dụng di động, tài khoản quản lý máy quẹt thẻ hoặc cổng thanh toán.
- Tài khoản gian hàng trên một hay nhiều ứng dụng giao đồ ăn.
- Trang của quán trên mạng xã hội, tài khoản nhắn tin với khách, hồ sơ quán trên bản đồ số.
- Email chính của quán, tài khoản lưu trữ đám mây chứa ảnh món, hợp đồng, sổ sách.
- Trang quản trị modem, bộ phát Wi-Fi, đầu ghi camera.
- Tài khoản tên miền và trang web nếu quán có.
- Tài khoản trên cổng dịch vụ thuế điện tử của hộ kinh doanh hoặc doanh nghiệp.
Mười mấy tài khoản, mỗi cái một mật khẩu, một số điện thoại nhận mã, và thường mỗi cái do một người khác nhau tạo vào những thời điểm khác nhau. Không có sổ, chủ quán chỉ biết mình thiếu một tài khoản khi nó bị khoá.
Danh tính gốc: email và số điện thoại phải là của quán
Hầu hết tài khoản số đều quay về hai thứ để khôi phục: một địa chỉ email và một số điện thoại. Ai giữ hai thứ đó là người thật sự sở hữu tài khoản, bất kể ai đang dùng hằng ngày. Lỗi gốc phổ biến nhất là để nhân viên đăng ký trang mạng xã hội hay gian hàng ứng dụng bằng email cá nhân và số điện thoại riêng của họ. Khi người đó nghỉ, quán phải đi xin lại, và nếu chia tay không vui thì có khi mất hẳn.
Cách làm đúng: lập một email riêng cho quán, chủ quán giữ mật khẩu; dùng một số điện thoại đứng tên chủ quán hoặc doanh nghiệp, lắp vào một máy để ở quán hoặc do chủ quán giữ, chuyên nhận mã xác thực. Mọi tài khoản mới đều đăng ký bằng email và số này. Tài khoản cũ đang gắn danh tính cá nhân của ai đó thì lên lịch chuyển về, làm khi người đó còn làm việc và còn hợp tác.
Với số điện thoại, cần nhớ một rủi ro ít ai nghĩ tới: SIM không dùng hay không nạp tiền lâu ngày có thể bị nhà mạng thu hồi và cấp cho người khác. Người đó sẽ nhận mã xác thực của quán. Giữ SIM nhận mã luôn hoạt động và đăng ký đúng thông tin chủ sở hữu theo quy định hiện hành là việc bắt buộc phải làm.
Sổ tài khoản: mỗi dòng cần ghi gì
Sổ tài khoản là bảng liệt kê, không phải nơi chép mật khẩu. Mật khẩu để trong trình quản lý mật khẩu hoặc nơi riêng do chủ quán giữ.
| Cột | Ghi gì | Vì sao cần |
|---|---|---|
| Dịch vụ | Tên loại dịch vụ, ví dụ phần mềm bán hàng, ngân hàng, gian hàng giao đồ ăn | Biết quán đang phụ thuộc vào những gì |
| Tên đăng nhập | Email hay số điện thoại dùng để vào | Biết danh tính gốc có phải của quán không |
| Email, số khôi phục | Nơi nhận mã khi quên mật khẩu | Phát hiện tài khoản còn gắn đồ cá nhân của ai đó |
| Xác thực hai lớp | Có hay chưa, kiểu gì, nằm trên máy nào | Biết ai cần có mặt khi đăng nhập máy mới |
| Người được dùng | Tên những người đang có quyền vào | Biết phải khoá ai khi có người nghỉ |
| Ngày đổi mật khẩu gần nhất | Ngày tháng | Nhắc đổi sau mỗi lần có biến động nhân sự |
| Ghi chú | Hạn gia hạn, liên hệ hỗ trợ của nhà cung cấp (lưu ở nơi riêng) | Không bị khoá vì quên gia hạn |
Sổ có thể là một bảng tính trong tài khoản lưu trữ của quán, chia sẻ cho người cần đọc. Cập nhật mỗi khi tạo tài khoản mới hoặc có người vào, người ra.
Mật khẩu và xác thực hai lớp: làm sao cho vừa sức
Mỗi tài khoản một mật khẩu riêng. Dùng chung một mật khẩu cho mọi nơi nghĩa là chỉ cần một dịch vụ bị lộ dữ liệu, kẻ gian thử được ở tất cả. Mật khẩu dài, dạng cụm từ dễ nhớ với chủ quán nhưng khó đoán với người ngoài, tốt hơn chuỗi ngắn nhiều ký tự đặc biệt mà phải dán giấy lên máy.
Dùng trình quản lý mật khẩu. Một ứng dụng quản lý mật khẩu lưu mọi mật khẩu sau một mật khẩu chính, tự điền khi đăng nhập, cho chia sẻ có kiểm soát với quản lý. Chủ quán chỉ cần nhớ một mật khẩu chính thật mạnh và bật xác thực hai lớp cho chính ứng dụng ấy.
Bật xác thực hai lớp cho tài khoản có tiền hoặc có danh tiếng. Ưu tiên: ngân hàng, email của quán, quản trị phần mềm bán hàng, gian hàng giao đồ ăn, trang mạng xã hội, nhà cung cấp hoá đơn. Mã qua ứng dụng xác thực trên điện thoại an toàn hơn mã qua tin nhắn, vì không phụ thuộc SIM.
Giữ mã dự phòng ở nơi an toàn. Khi bật xác thực hai lớp, dịch vụ thường cấp một bộ mã dự phòng. In ra hoặc lưu trong trình quản lý mật khẩu, cất cùng giấy tờ quan trọng. Mất điện thoại mà không có mã dự phòng có thể mất nhiều ngày để lấy lại tài khoản.
Không đọc mã xác thực cho ai. Không nhân viên hỗ trợ thật nào cần quán đọc mã OTP qua điện thoại. Ai xin mã, dù xưng là ngân hàng, ứng dụng giao đồ ăn hay cơ quan nào, đều phải dừng lại và tự gọi lại số chính thức.
Ai giữ gì: chia quyền theo người
Nguyên tắc chung là ít người giữ quyền cao nhất, nhiều người có quyền vừa đủ cho việc của mình. Chủ quán giữ email gốc, tài khoản ngân hàng, quyền quản trị cao nhất của phần mềm bán hàng và nhà cung cấp hoá đơn. Quản lý ca có tài khoản riêng trên phần mềm với quyền chốt ca, huỷ món, giảm giá trong hạn mức. Thu ngân và phục vụ dùng mã PIN cá nhân, không dùng chung.
Tài khoản dùng chung một mật khẩu cho cả ca, kiểu "ai đứng quầy thì dùng", là nguồn rắc rối kéo dài: không biết ai huỷ món, ai giảm giá, và khi có người nghỉ thì phải đổi mật khẩu cho cả quán. Nếu một dịch vụ chỉ cho một tài khoản (một số gian hàng hay trang quản trị thiết bị), nên để quản lý giữ và nhân viên thao tác qua quản lý, hoặc dùng tính năng cho thêm người quản lý nếu dịch vụ có.
Với thiết bị dùng chung ở quầy như máy tính bảng bán hàng, cài khoá màn hình và thời gian tự khoá ngắn, để khi thu ngân rời quầy thì người khác không cầm lên dùng được tài khoản đang mở. Ứng dụng ngân hàng của quán không nên cài trên máy quầy; nếu cần xem tiền về, dùng tính năng thông báo hoặc tài khoản chỉ được xem của chính ngân hàng, nếu ngân hàng có cung cấp.
Cần có một người dự phòng biết cách vào các tài khoản quan trọng khi chủ quán vắng, ốm hay mất điện thoại. Đó có thể là người thân tin cậy hoặc đối tác. Cách an toàn là để người này có quyền khẩn cấp trong trình quản lý mật khẩu, hoặc giữ một phong bì niêm phong ghi cách truy cập, cất nơi chỉ người đó biết.
Dấu hiệu tài khoản của quán đang bị người lạ dùng
Phát hiện sớm giúp giảm thiệt hại. Những dấu hiệu sau đáng để dừng lại kiểm ngay:
- Nhận email hoặc tin nhắn báo đăng nhập từ thiết bị lạ, nơi lạ mà không ai trong quán làm.
- Nhận mã xác thực dù không ai yêu cầu: có người đang thử đăng nhập bằng mật khẩu của quán.
- Trang mạng xã hội của quán đăng bài lạ, đổi ảnh đại diện, có người quản trị mới không rõ là ai.
- Gian hàng trên ứng dụng giao đồ ăn đổi giờ mở cửa, đổi giá hay đổi tài khoản nhận tiền mà quán không biết.
- Trên phần mềm bán hàng xuất hiện tài khoản nhân viên lạ, hoặc thao tác huỷ đơn, giảm giá vào giờ quán đóng cửa.
Khi thấy dấu hiệu, làm theo thứ tự: đổi mật khẩu từ một thiết bị sạch, đăng xuất mọi phiên đăng nhập khác (phần lớn dịch vụ có nút này trong phần bảo mật), kiểm và gỡ người quản trị lạ, bật xác thực hai lớp nếu chưa có, rồi liên hệ hỗ trợ của dịch vụ. Với tài khoản ngân hàng, gọi ngay số chính thức in trên thẻ hoặc trong ứng dụng để yêu cầu khoá.
Khi nhân viên nghỉ việc: danh sách làm trong ngày
Làm ngay trong ngày cuối, kể cả khi chia tay vui vẻ. Lý do không phải nghi ngờ người đi, mà để quán không phụ thuộc vào trí nhớ hay thiện chí của bất kỳ ai.
- Khoá hoặc xoá tài khoản, mã PIN của người đó trên phần mềm bán hàng.
- Gỡ người đó khỏi danh sách quản lý trang mạng xã hội, gian hàng giao đồ ăn, hồ sơ bản đồ số, nhóm nhắn tin công việc.
- Thu lại thiết bị của quán (điện thoại gọi món, máy tính bảng, chìa khoá két nếu có) và đăng xuất mọi tài khoản trên thiết bị ấy.
- Đổi mật khẩu của những tài khoản dùng chung mà người đó biết, kể cả Wi-Fi của quầy.
- Kiểm những tài khoản nào còn đăng ký bằng email, số điện thoại của người đó và chuyển về danh tính của quán.
- Cập nhật sổ tài khoản: xoá tên người đi, ghi ngày đổi mật khẩu.
Danh sách này nên được làm cả khi có người chuyển việc trong quán, ví dụ từ quản lý ca xuống làm phục vụ bán thời gian: quyền đi theo việc, không theo người.
Câu hỏi thường gặp
Có nên dán mật khẩu Wi-Fi quầy lên tường cho nhân viên tiện dùng không?
Không nên. Mật khẩu dán ở chỗ khách nhìn thấy thì mạng quầy chẳng khác mạng khách. Thiết bị của quán chỉ cần nhập một lần; nhân viên không cần biết mật khẩu mạng quầy để làm việc, chỉ quản lý mới cần.
Ghi mật khẩu vào sổ giấy có an toàn hơn lưu trên điện thoại không?
Sổ giấy không bị tấn công qua mạng nhưng dễ bị xem trộm, thất lạc, cháy ướt. Nếu dùng sổ giấy, cất trong tủ khoá, không để ở quầy. Trình quản lý mật khẩu có mật khẩu chính mạnh và xác thực hai lớp thường tiện và an toàn hơn cho quán có nhiều tài khoản.
Mã xác thực qua tin nhắn có đủ an toàn không?
Tốt hơn không có gì, nhưng phụ thuộc SIM: SIM bị thu hồi, bị chiếm đoạt hay điện thoại mất là mất mã. Ứng dụng xác thực trên điện thoại hoặc khoá bảo mật vật lý an toàn hơn. Tài khoản ngân hàng thì làm theo cơ chế xác thực của chính ngân hàng.
Chủ quán ngại công nghệ thì giao hết cho một người có được không?
Giao việc thao tác được, nhưng quyền sở hữu thì nên giữ: email gốc, số điện thoại nhận mã và mật khẩu chính của trình quản lý mật khẩu nên nằm trong tay chủ quán. Người được giao dùng tài khoản phụ hoặc quyền quản lý, có thể thu hồi bất cứ lúc nào.
Bao lâu nên đổi mật khẩu một lần?
Đổi theo sự kiện quan trọng hơn đổi theo lịch: khi có người biết mật khẩu nghỉ việc, khi thiết bị bị mất, khi dịch vụ thông báo lộ dữ liệu, khi thấy đăng nhập lạ. Mật khẩu mạnh và riêng cho từng tài khoản thì không cần đổi liên tục.
Nhân viên cũ vẫn đăng bài trên trang của quán thì làm sao?
Vào phần cài đặt quyền của trang, gỡ người đó khỏi danh sách quản trị nếu quán còn quyền cao nhất. Nếu người đó đang giữ quyền cao nhất, cần liên hệ nền tảng theo quy trình khôi phục và chuẩn bị giấy tờ chứng minh quán là chủ. Đó là lý do quyền cao nhất phải luôn ở tài khoản của quán.